[하루한줄] CVE-2024-38653: Ivanti Avalanche의 XXE로 인한 임의 파일 읽기 취약점

URL

https://github.com/D4mianWayne/POCs/tree/main/CVE%202024-38653

Target

Ivanti Avalanche 6.3.1, 6.3.4, 6.4.0, 6.4.1

Explain

Ivanti Avalanche는 모바일 장치 관리 솔루션(MDM)으로 소프트웨어 배포, 알림 및 보고서 관리를 제공합니다.

CVE-2024-38653은 XXE 취약점으로 공격자가 /mdm/checkin 엔드포인트로 PUT 요청을 보낼 경우 시스템에서 임의 파일을 읽을 수 있습니다.

sin = Utility.readFile((InputStream)req.getInputStream());

String sessionId = req.getParameter("sessionId");
String udidForVendor = req.getParameter("udid");
boolean deviceSimulator = ServletUtil.parseBoolean(req.getParameter("deviceSimulator"));
IDeviceAPI dapi = this.m_apiVector.getDbDeviceAPI();

Map<String, String> pairs = PList.decodeToMap(sin);

취약점은CheckinServlet.java 파일의 doPut 메소드에서 발생합니다.

/mdm/checkin 엔드포인트로 PUT 요청이 들어오면, doPut 메소드는 요청의 본문을PList.decodeToMap 메소드로 전달합니다.


public static Map<String, String> decodeToMap(String xml) throws XMLStreamException {
    Map<String, String> pairs = new HashMap<>();

    XMLInputFactory xmlInputFactory = XMLInputFactory.newFactory();
    XMLStreamReader xmlStreamReader = xmlInputFactory.createXMLStreamReader(new StringReader(xml));

    do {
        xmlStreamReader.next();
        String name = getName(xmlStreamReader);
        if (name == null)
            continue;  
        String value = getValue(xmlStreamReader);
        if (value == null)
            continue;  
        pairs.put(name, value);
    } while (xmlStreamReader.getEventType() != 8);

    return pairs;
}